საგანგებო გამორთვა თუ LAN-ზე წვდომა? ორი პასუხი WireGuard-ისთვის

ხელის ჩამორთმევა სრულდება, დათვალიერება მუშაობს, და პრინტერი, NAS და ლოკალური SSH ჰოსტები ქრება. Windows-ის კლიენტში ეს ჩვეულებრივ საერთოდ არ არის მარშრუტიზაციის ხარვეზი: პირი, რომლის დაშვებული პრეფიქსები შეიცავს სიტყვასიტყვით ნაგულისხმევს, ააქტიურებს გვირაბის გარეთ მოძრაობის დაბლოკვას, და ეს პარამეტრი დანერგილია როგორც ფაირვოლის წესები, რომლებიც აგდებენ ნებისმიერი სხვა ინტერფეისიდან გამავალ პაკეტებს. მარშრუტების ცხრილი კვლავ აჩვენებს ლოკალურ ქვექსელს როგორც პირდაპირ კავშირს, ამიტომ სიმპტომი ტყუილივით ჩანს. რა უნდა გაკეთდეს ამის გამო, სამი პირობა წყვეტს, და მათგან მხოლოდ ერთია მარშრუტიზაციაზე.

ორი ხარვეზი ერთ სიმპტომს ატარებს

პირველი ხარვეზი კლიენტის fail-closed რეჟიმია, და მისი ნიშანი ის არის, რომ გვირაბის გარეთ ყველაფერი ჩერდება, სანამ თავად გვირაბი უნაკლოდ მუშაობს. მეორე ნამდვილი ხელმისაწვდომობის პრობლემაა: დაკარგული მარშრუტი, სერვერზე დაკარგული ჩანაწერი კლიენტის უკან მდებარე ქვექსელისთვის, ან ორი ქსელი, რომლებიც ერთსა და იმავე მისამართების დიაპაზონს იზიარებენ. ორივე იძლევა მანქანას, რომელსაც შეუძლია დათვალიერება და არ შეუძლია ბეჭდვა, და მათი გამოსწორებები საპირისპიროა, ამიტომ დიაგნოზი კონფიგურაციამდე უნდა მოვიდეს.

განმასხვავებელი დაკვირვება ის არის, არის თუ არა ლოკალური ქვექსელი ჯერ კიდევ მარშრუტების ცხრილში, მაშინ როცა მისკენ მოძრაობა აგდებულია.

სამი პირობა წყვეტს პასუხს

პირველი, სჭირდება თუ არა ამ მანქანას fail-closed? თუ პასუხი კი არის, ჩამოვარდნილმა გვირაბმა უნდა შეაჩეროს მოძრაობა, ნაცვლად იმისა, რომ ის ფიზიკურ ინტერფეისზე დააბრუნოს, და ეს მოთხოვნა ლოკალურ კომფორტზე მაღლა დგას. მეორე, უნდა დარჩეს ლოკალური მოწყობილობები ხელმისაწვდომი, სანამ გვირაბი ჩართულია? ბეჭდვა, ქსელური საცავი და ლოკალური მართვის კონსოლები ჩვეულებრივი მიზეზებია, და ეს კანონიერი მოთხოვნებია, არა გამონაკლისები, რომლებისთვისაც ბოდიში უნდა მოვიხადოთ. მესამე, გამოხატავს პროფილი ნაგულისხმევს როგორც სიტყვასიტყვით 0.0.0.0/0? სწორედ ეს დეტალი ააქტიურებს კლიენტის წესებს, და ის რედაქტირებადია.

უპასუხეთ ამ სამს წერილობით, სანამ პროფილს შეეხებით, რადგან ყოველი პასუხი სხვა კონფიგურაციაზე მიუთითებს.

აირჩიეთ fail-closed და თქვით უარი LAN-ზე

თუ გაჟონვა ლოკალურ ხელმისაწვდომობაზე მნიშვნელოვანია, შეინარჩუნეთ სიტყვასიტყვითი ნაგულისხმევი და დატოვეთ გვირაბის გარეთ მოძრაობის დაბლოკვა ჩართული. ეს თანმიმდევრული პოზიციაა: მანქანა განიხილება როგორც მოწყობილობა, რომელიც ან გვირაბშია, ან ოფლაინში, და ლოკალურ სერვისებზე სხვა მოწყობილობიდან ან გვირაბის გავლით აღწევენ, თუ სერვერი მათ მარშრუტიზაციას უკეთებს. ღირებულება რეალურია და უნდა იყოს მითითებული განლაგების შენიშვნებში, და არა იმ ადამიანმა აღმოაჩინოს, ვისაც ბეჭდვა სჭირდება.

ეს სწორი არჩევანია იმ მანქანებისთვის, რომლებიც ასრულებენ სამუშაოს, რომელიც არ უნდა გამოჩნდეს კაფეს ქსელში, როცა გვირაბი ვარდება. ცუდი ნაგულისხმევია სახლის ლეპტოპისთვის, რომელსაც სკანერიც სჭირდება.

აირჩიეთ LAN-ზე წვდომა და გამოხატეთ ნაგულისხმევი სხვაგვარად

თუ ლოკალური მოწყობილობები უნდა დარჩეს ხელმისაწვდომი, გამოხატეთ იგივე დაფარვა სიტყვასიტყვითი ნაგულისხმევი პრეფიქსის გარეშე. ორი ნახევარი პრეფიქსი ფარავს ყველა IPv4 მისამართს, ეკვივალენტური წყვილი ფარავს IPv6-ს, და კლიენტი აღარ ამატებს დამბლოკავ წესებს, რადგან ის სტრიქონი, რომელსაც ეძებს, არ არსებობს.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

ამ ნიშნულის მოხსნა აიძულებს კლიენტს იგივე ორი წყვილი ჩაწეროს პროფილში, ამიტომ შექმნილი ფაილის ზემოთ მოცემულ ბლოკთან შედარება მექანიზმის გამოცნობის ნაცვლად მისი დადასტურების სწრაფი გზაა. აქედან ორი შედეგი გამომდინარეობს. დაფარვა იდენტურია, ამიტომ გვირაბში სხვა არაფერი იცვლება. დაცვა იდენტური არ არის: წესების გაქრობისას ჩამოვარდნილი გვირაბი მანქანას ფიზიკური ინტერფეისის გამოყენების საშუალებას აძლევს, და სწორედ ამას უშლიდა ხელს fail-closed.

შეამოწმეთ დანარჩენი ორი ეჭვმიტანილი ყოველ შემთხვევაში

მას შემდეგ, რაც ფაირვოლის საკითხი გაირკვევა, დაადასტურეთ, რომ ლოკალური ქვექსელი ნამდვილად მარშრუტიზდება და რომ შორეულმა მხარემ იცის ყველაფერი ამ კლიენტის უკან. სერვერს, რომელმაც კლიენტის უკან მდებარე LAN-ს უნდა მიაღწიოს, ეს პრეფიქსი სჭირდება ჰაბზე კლიენტის დაშვებულ სიაში; გამოტოვეთ ის და ჰაბი ვერ შეძლებს პირის არჩევას ამ მისამართებისთვის, და კლიენტის არც ერთი კონფიგურაცია არ შექმნის მას.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

ქსელის კატეგორია უფრო მნიშვნელოვანია, ვიდრე ადამიანები ელიან: ახლად შექმნილი გვირაბის ადაპტერი, რომელიც საჯაროდ კლასიფიცირდება, ცვლის, რომელი წესები ვრცელდება მასზე, და შედეგი შორეულ მხარეს ფაირვოლის დაბლოკვას შეიძლება დაემსგავსოს. მარშრუტების ამობეჭდვა აჩვენებს, საერთოდ არის თუ არა ნაგულისხმევი, რაც პოლიტიკის პრობლემას დაკარგული მარშრუტისგან ჰყოფს.

შემდეგ სცადეთ სამი რამ ერთ სესიაში: ინტერნეტი, ერთი ლოკალური ჰოსტი მისამართით და ერთი ჰოსტი გვირაბის გავლით. ხელის ჩამორთმევა მხოლოდ იმას ამტკიცებს, რომ გასაღებები ემთხვევა, ამიტომ პოლიტიკას სწორედ სამი ტესტი აჩვენებს. თუ ლოკალური ჰოსტი კვლავ უარს ამბობს პარამეტრის მოხსნის შემდეგ, დარჩენილი ეჭვმიტანილები არიან მარშრუტი, შორეული მხარის დაშვებული სია და გაორმაგებული ქვექსელი, ამ თანმიმდევრობით.